Annexe RGPD / DPA

1. Parties et objet de l’accord

Le client identifié au bon de commande agit comme responsable de traitement pour les dossiers qu’il confie au service. Le fournisseur Recrut360, dont l’identité doit être vérifiée, agit comme sous-traitant pour les opérations réalisées sur instruction du client. Les traitements propres du fournisseur, tels que la facturation de ses clients, restent distincts et décrits dans la politique de confidentialité.

Le présent DPA fait partie du contrat et prévaut sur ses autres clauses pour les données personnelles. Il s’applique pendant les traitements de fourniture du service, puis pendant les opérations de restitution et d’effacement autorisées. Il ne permet pas de traiter des données pour une nouvelle finalité propre du fournisseur.

2. Description des traitements et instructions

L’objet est l’hébergement et la gestion des dossiers nécessaires aux modules souscrits : expression du besoin, candidature, entretien, préparation et suivi documentaire, intérim et suivi administratif des salariés. Les opérations peuvent comprendre la collecte sur instruction, l’enregistrement, l’organisation, la consultation par les habilités, la préparation de documents, la transmission autorisée, l’export et l’effacement.

Les personnes concernées sont les candidats, salariés, utilisateurs, interlocuteurs d’entreprises et d’agences et signataires. Les données comprennent l’identité, les coordonnées, l’expérience, les compétences, les éléments d’entretien et décisions, les conditions d’embauche, documents contractuels, signatures et échéances administratives. Les données de santé détaillées et autres catégories particulières sont exclues du périmètre standard ; toute extension exige des instructions et garanties spécifiques.

Les instructions sont constituées du contrat, des paramètres autorisés et des demandes écrites des interlocuteurs habilités. Le fournisseur n’agit pas au-delà, sauf obligation légale dont il informe préalablement le client lorsque la loi le permet. Il informe immédiatement le client s’il estime qu’une instruction enfreint le droit applicable.

3. Obligations du client

Le client détermine les finalités, les bases, la pertinence et la durée des traitements, informe les personnes et traite leurs demandes. Il garantit la licéité des données et des instructions et attribue les habilitations. Il réalise, lorsque nécessaire, l’analyse d’impact et la consultation de l’autorité compétente, avec l’assistance appropriée du fournisseur.

Il transmet les changements d’instructions ou de périmètre et vérifie les destinataires avant partage. Une instruction supplémentaire ne vaut pas autorisation générale de réutilisation des données et ne dispense pas le fournisseur de signaler une instruction manifestement illicite.

4. Personnel, confidentialité et accès

Le fournisseur limite les accès aux personnes qui en ont besoin pour exécuter le service. Elles sont soumises à un engagement de confidentialité ou à une obligation légale équivalente et reçoivent des instructions adaptées. Les habilitations doivent être attribuées, revues et retirées selon les fonctions.

Les accès de support aux dossiers clients ne doivent intervenir que pour un motif documenté, dans un périmètre proportionné et traçable. Aucun droit général de consultation des dossiers RH n’est créé pour un administrateur commercial.

5. Mesures techniques et organisationnelles

Le fournisseur met en œuvre des mesures adaptées aux risques, notamment la maîtrise des identités et habilitations, la séparation des périmètres d’entreprise, la protection des communications, les mises à jour, la gestion des incidents, la sauvegarde et la vérification de la restauration selon un dispositif effectivement documenté. Les mesures doivent être réévaluées selon la nature des données et l’état des risques.

Avant signature, la fiche de sécurité doit décrire les mesures réellement déployées, les lieux d’hébergement, les accès d’administration, les journaux, les sauvegardes, leur rétention, les essais de restauration et les modalités d’effacement. Les contrôles observables dans le code ne constituent pas une certification ni la preuve de leur exploitation complète. Aucun RPO, RTO, taux de disponibilité ou algorithme généralisé de chiffrement n’est déclaré sans vérification.

6. Sous-traitants ultérieurs

Le client autorise uniquement les sous-traitants inscrits dans la liste contractuelle remise avant signature. La liste doit préciser leur identité, leurs tâches, les catégories de données, les pays de traitement et les garanties. Les intégrations identifiées — hébergement OVHcloud, fonctions IA Mistral et connecteurs optionnels — sont des éléments d’inventaire à vérifier, et non une autorisation globale.

En cas d’autorisation générale convenue, le fournisseur informe par écrit de tout ajout ou remplacement suffisamment à l’avance pour permettre une objection motivée avant l’accès aux données. Les parties recherchent alors une solution compatible avec la protection des données ; si elle est impossible, elles déterminent la suspension du traitement concerné ou la sortie appropriée, sans imposer un traitement non autorisé.

Le fournisseur impose au sous-traitant ultérieur des obligations offrant les garanties requises pour le traitement confié et reste responsable envers le client de leur exécution dans les conditions du RGPD.

7. Localisation et transferts internationaux

Les pays d’hébergement, de sauvegarde et d’accès distant sont identifiés pour chaque chaîne de traitement. Un transfert hors Espace économique européen ne peut être effectué que sur instruction autorisée et avec un mécanisme valable au titre du chapitre V du RGPD, ainsi que les évaluations et mesures complémentaires nécessaires.

Le fournisseur informe le client des garanties applicables et met à disposition les informations utiles à leur vérification. Il examine les demandes d’autorités publiques, conteste celles qui doivent l’être et limite la communication, en informant le client lorsque la loi le permet. La localisation française du serveur principal ne vaut pas absence de transfert par les connecteurs.

8. Demandes de droits et assistance

Le fournisseur transmet sans délai injustifié les demandes reçues directement et n’y répond au fond que sur instruction ou obligation légale. Il assiste le client, compte tenu de la nature du traitement et des informations disponibles, pour l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition.

Il fournit les éléments raisonnablement nécessaires à la sécurité, aux analyses d’impact et aux consultations préalables. Les éventuels services supplémentaires sont définis à l’avance sans rendre impossible l’exercice des droits ou le respect des obligations impératives. Une demande ordinaire de droit ne permet pas de transmettre le dossier à un tiers non habilité.

9. Violations de données

Le fournisseur notifie au client toute violation de données personnelles dont il a connaissance sans délai injustifié. Il communique les faits disponibles, les catégories et volumes estimés, les conséquences probables, le point de contact et les mesures prises ou proposées ; il complète les informations progressivement si nécessaire.

Il prend les mesures de limitation et de correction relevant de son périmètre, préserve les éléments utiles et coopère avec le client. Le délai de soixante-douze heures prévu pour certaines notifications du responsable à l’autorité ne constitue pas un délai d’attente accordé au sous-traitant. Le client décide des notifications aux autorités et personnes, sauf obligation propre contraire.

10. Documentation et audits

Le fournisseur tient les informations et registres requis pour ses traitements de sous-traitance et met à disposition du client les éléments nécessaires à la démonstration de ses obligations. Il permet les audits et inspections requis par l’article 28, y compris par un auditeur mandaté, sous des modalités proportionnées de confidentialité, de sécurité et de coordination.

Les modalités pratiques peuvent privilégier d’abord une documentation à jour, puis un examen adapté au risque. Elles ne peuvent interdire les contrôles nécessaires en cas d’incident, de doute sérieux ou de demande d’autorité. Les données d’autres clients et les secrets sans rapport avec le contrôle sont protégés sans neutraliser son objet.

11. Restitution, effacement et entraînement de modèles

À la fin du service, le fournisseur restitue ou efface les données selon le choix du client et l’annexe de réversibilité, puis efface les copies sauf conservation légalement obligatoire. Les sauvegardes résiduelles sont isolées de l’usage courant et supprimées selon leur cycle validé ; une restauration ne doit pas réintroduire durablement des données dont l’effacement était requis.

Les données clients ne peuvent pas être utilisées pour entraîner ou améliorer un modèle général pour le compte propre du fournisseur ou d’un tiers au titre de cet accord. Tout usage distinct exigerait un fondement et un cadre propres et ne peut être déduit de l’activation d’Alix. Les réglages et engagements réels des fournisseurs d’IA doivent être vérifiés avant transmission.